陈仲凯在内网做授权评估，最怕的不是拿不到权限，而是你还没开始干活，对方的安全设备已经把“攻击告警”拍到负责人脸上了。几年前我进某企业内网做年度安全评估，客户给了核心服务器权限，条件是不惊扰运维团队。当时我图省事，终端里直接敲了一条 nmap -sS -T4 192.168.1.0/24，想着先摸一遍存活主机。结果不到两分钟，客户安全群的截图就发了过来：这台机器在做全端口扫描，行为特征很像Nmap。测试还没进入正题，我已经成了全场的焦点。那次之后我给自己立了规矩：在内网环境里，首先要考虑的不是怎么“快”，而是怎么“稳”。
这篇文章就专门讲这个事——Nmap的内网隐蔽扫描。它不是让你去干非法的事，也不是什么黑魔法，而是在授权安全评估、内网合规审计、红蓝对抗这类场景里，用一套专业、克制的发包方式完成信息收集，降低对业务网络的干扰和误触发。对刚入门网络安全的学习者来说，这也是从“会敲命令”迈向“能上项目”的一道分水岭。内容会从检测原理讲起，再给可直接复制的参数组合，最后落到不同目标资产的实战策略上。
1. 内网环境里“稳妥”比“快速”值钱——隐蔽扫描的定位与场景
1.1 内网评估的第一步永远是资产盘点
不管你是做渗透测试、合规审计还是红队演练，进入内网之后的第一件事基本都一样：搞清楚网里到底有什么。一个C段也好，一个B段也罢，有多少台存活主机、哪些端口开着、对应什么服务，这些信息直接决定后续所有动作的质量。
问题在于，资产盘点本身就会产生大量流量。你要是用默认参数去扫，Nmap确实能在很短时间里给你拉出一份主机清单，但这份清单的代价，是安全设备上成片的扫描告警。内网环境不同于公网，主机密度高、安全设备完备，很多企业的态势感知平台还会把“端口扫描”和“横向扩散”直接关联起来。换句话说，资产盘点做得越粗暴，你暴露得就越快，后续工作也就越难推进。
隐蔽扫描要解决的核心问题，就是如何在完成资产盘点、服务识别的过程中，不让自己的探测行为成为全网瞩目的焦点。
1.2 扫描的“度”比你用哪个工具重要
很多新人喜欢追求“一把梭”，恨不得一条命令扫完整个网段。但实际内网评估里，扫描的“度”远比你用什么工具有意义。你可以用Nmap，也可以配合其他工具，但真正决定成败的是你如何控制发包节奏、选择端口范围、处理探测顺序。
我常用的思路是分阶段收敛：先用低干扰的主机发现拿下存活清单，再对重点主机做端口扫描，最后才针对特定端口做服务识别和版本探测。每一步之间留出观察窗口，根据目标网络的反应动态调整。这不是保守，而是对业务环境的基本尊重。毕竟，评估的目的是发现问题，不是把客户的网络搞瘫。
1.3 隐蔽扫描的适用场景与准备事项
隐蔽扫描不是所有场景都需要的。比如你自己家里做实验，就一台路由器一台电脑，随便怎么扫都行。真正需要这套方法论的是这几类场景：
- 内网授权渗透测试：客户明确给了测试范围，但不想惊动太多人
- 红蓝对抗：攻防双方都在线，蓝队会实时监控流量
- 合规审计：对生产网络做受控排查，不能影响业务
- 应急响应：在已发生安全事件的网络里做有限范围内的排查
进入这些场景之前，有几件事一定要准备好：授权文件、测试范围内的IP清单、已知的业务网段与服务器IP、测试时间窗口、出口IP和临时方案。这些不是麻烦，是保护你自己。没有这些东西，技术做得再漂亮也站不住脚。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 默认Nmap为什么容易暴露——从流量特征反向理解检测逻辑
2.1 Nmap默认行为会留下哪些可识别的痕迹
想理解隐蔽扫描，先得知道默认扫描为什么会被抓。Nmap在默认参数下有几个非常明显的特征：
- 速度快。默认计时模板是T3，在C段上可以在几十秒内扫完常用端口，这种短时间内的大量连接非常扎眼。
- 端口顺序有规律。Nmap按nmap-services文件里的频率顺序探测端口，虽然本身是合理的，但长期被玩家使用后，安全设备的规则库里早就把这种顺序特征存了下来。
- 源IP单一。整场扫描的流量全部来自一个IP，目标主机日志里会连续出现“同源IP访问不同端口”的记录。
- 重试机制。默认会对超时的端口做重试，如果目标网络有过滤设备，重试会形成多次突刺，放大存在感。
- 特定报文结构。TCP头里窗口大小、TTL、包长分布这些字段，和正常业务流量相比有明显的统计差异。
单个包看似没什么，但把时间维度、源IP维度、端口维度串在一起，就很难不被识别了。
2.2 IDS/IPS与态势感知平台的检测思路
安全设备检测端口扫描，并不是靠“认出某一个包”，而是靠行为模式关联。常见规则大致有这么几类：
| 检测维度 | 典型规则 | 说明 |
|---|---|---|
| 连接频率 | 单位时间内同源IP新建连接数超过阈值 | 默认Nmap在T3下的SYN包速率轻松超标 |
| 失败比例 | 同一IP在多个端口上留下失败连接记录 | 半开扫描或过滤状态下会产生大量无响应的SYN |
| 横向特征 | 同源IP短时间内访问大量不同主机的同端口 | 这是内网横向扩散的典型信号 |
| 关联分析 | 单台主机同时命中多条扫描特征 | 命中后直接生成告警事件 |
这里有个关键认知：检测系统看重的是“统计异常”，不是“单个包长什么样”。所以想要隐蔽，核心不是伪造某一个包，而是打乱整个流量在时间、空间上的统计特征。
2.3 内网探测与公网扫描的本质差异
公网扫描和内网扫描完全是两码事。公网上有大片防火墙和负载均衡挡在前面，扫描器从外网进来，目标网络的安全设备面对的是海量互联网噪声，单次扫描往往淹没在其中。内网不一样，进入内网之后，你是在走廊里走路，不是站在楼外拿望远镜看。每一户的门上可能都有猫眼，管理员和安全的注意力也更容易被内网里的小动静吸引。
更麻烦的是，内网中很多主机安装了终端安全软件，主机侧就能记录连接来源。你扫某个Windows主机，它的Defender、终端EDR可能已经把连接日志传回管理端了。所以在内网做扫描，你需要比公网场景更克制：更低的速率、更少的端口、更谨慎的随机化。
3. 可直接复制的Nmap内网隐蔽扫描参数组合
3.1 第一步：主机发现要克制，不要全端口风暴
拿到内网环境后，我建议先用一条温和的主机发现命令建立存活清单。下面这条是我用得最多的：
bash复制nmap -sn -PS 80,443,3389 -PA 80,443 -n --max-retries 1 -T2 --randomize-hosts 192.168.10.0/24
逐个拆开看：
-sn：只做主机发现，不进入端口扫描阶段-PS 80,443,3389：用TCP SYN包探测这几个常见端口，判断主机是否存活-PA 80,443：补几个ACK包，很多网络对SYN包有过滤，ACK包更容易穿过普通ACL-n：关闭DNS反向解析，避免在DNS服务器上留下查询痕迹--max-retries 1：每个探测最多重试一次，避免反复重发造成流量放大-T2：计时模板降到T2，整体节奏放缓--randomize-hosts：打乱目标主机顺序，避免扫描出现从 .1 到 .254 线性递增的特征
这条命令跑下来，一般能在几分钟内拿到整个C段的存活主机列表。如果你知道某些IP段是交换机、防火墙等基础设施，可以用 --exclude 先把它们排除掉，减少无效探测。
3.2 第二步：端口扫描的时序、重试与随机化
拿到存活清单后，对重点主机做端口扫描。常用组合是这样：
bash复制nmap -sS -Pn -n --top-ports 200 --max-retries 2 --min-rate 20 --max-rate 100 -T2 192.168.10.0/24
这里有几个容易忽略的点：
-Pn：跳过主机发现，直接进入端口扫描阶段。因为我们已经跑过一轮主机发现了，这里没必要再做重复探测。--top-ports 200：只扫最常见的200个端口。内网资产盘点不需要一上来就把65535个端口全跑一遍，200个已经能覆盖绝大多数服务。--min-rate 20 --max-rate 100：把发包速率卡在每秒20到100之间。这个区间既能保证速度，又不至于触发多数阈值告警。--max-retries 2：限制重试次数，防止被过滤的端口反复拖慢进度。
关于 -sS 和 -sT 的选择，稍微多说一句。-sS 是SYN半开扫描，只发SYN、不建立完整连接，所以目标主机的应用层通常不会产生连接日志，这是隐蔽性更好的原因。-sT 是全连接扫描，会留下完整的TCP连接记录，在目标主机日志里能看到来源IP和端口。内网评估里我几乎不用 -sT，除非目标网络明确要求只能做全连接。
3.3 第三步：让流量特征不像“标准Nmap”——诱饵、分片、源端口、冗余字节
如果对某台重点主机的扫描需要更高的隐蔽性，可以叠加以下参数：
bash复制nmap -sS -Pn -n -D 192.168.10.53,192.168.10.254,ME -f --data-length 24 -g 53 --max-retries 1 -T2 --host-timeout 60s -p 22,80,443,445,3389,5985 192.168.10.20
各参数的含义：
-D 192.168.10.53,192.168.10.254,ME：诱饵扫描。目标主机的日志里会同时出现多个IP的扫描记录，真实扫描IP混在其中。-f：启用IP分片，让探测包被拆成多个片段，绕过一些只检查完整包头的检测规则。注意，部分老设备和中间件对分片处理能力差，这个参数要谨慎使用。--data-length 24：给TCP包追加24字节的随机数据，让包长分布不像标准Nmap的默认特征。-g 53：把源端口固定为53。很多防火墙规则默认放行或信任来自53端口的DNS流量，这里利用了网络中的常见信任习惯。--host-timeout 60s：单台目标扫描时间超过60秒就放弃，避免卡死。
这套组合能明显降低扫描被“一眼认出”的概率，但也要清醒地知道，它的副作用是增加误判率。具体目标网络的防火墙策略、中间件对分片的处理能力，都会影响结果。没有一套参数能通吃所有环境，这些组合必须根据现场情况做针对性调整。
3.4 进阶手段：空闲扫描的原理、取舍与限制
下面这个方法更少用到，但它的思路很值得理解。-sI 空闲扫描可以借助一台“僵尸主机”完成端口探测，目标主机看到的扫描来源是僵尸机的IP，而不是你的真实地址。
原理是这样的：
- 先探测僵尸主机的IP标识（IP ID），记录一个基准值
- 伪造一个源IP为“僵尸主机IP”的SYN包，发往目标端口
- 如果目标端口开放，它会向僵尸机回应一个SYN/ACK包
- 僵尸机认为这不是自己发起的连接，会回应一个RST包，这个RST包会使僵尸机的IP ID+1
- 再次探测僵尸机的IP ID，如果新的IP ID比第一次探测时增加了2左右，说明目标端口开放；如果只增加1，说明目标端口关闭
命令形式大概是：
bash复制nmap -sI <僵尸IP> -Pn -p 22,80,445 <目标IP>
这个方法的限制也很明显：现代操作系统很多采用随机化IP ID，僵尸机的选择本身就很难；而且内网流量串联能力强，借用僵尸机扫描反而可能把无关主机拖下水。我更多是把空闲扫描当做一个“借壳扫描”的原理来理解，真正常用的还是前面几组参数。
4. 面对不同目标资产，扫描策略应该如何调整
4.1 Windows主机的重点端口与节奏
Windows系统内网部署量极高，扫描策略也最值得单独讲。常见的重点端口包括：
- 88：Kerberos，域环境下的认证端口
- 135：RPC端口映射服务
- 139：NetBIOS会话
- 445：SMB服务，内网攻击面最大的端口之一
- 3389：远程桌面
- 5985/5986：WinRM服务，常用于远程管理
- 47001：WinRM的Web服务管理端口
对Windows主机做扫描时，我建议第一波只探测上面这些高频端口，不要急着对整段IP做全端口扫描。尤其要注意，-sV 版本探测会产生大量交互流量，对445、139这类SMB相关端口进行版本探测时尤其容易触发终端安全软件的可疑行为。最佳做法是先通过 -sS 确认端口开放状态，再在明确的目标单机上单独做版本确认。
还要留意一点：Windows防火墙开启状态下，很多端口看起来是“被过滤”（filtered）状态，但这不代表端口真的关闭。如果一批主机同时出现大量filtered端口，先确认是不是防火墙策略在起作用，避免白白耗费时间。
4.2 Linux服务器的服务识别思路
Linux主机的端口分布和域环境里的Windows完全不同，常见目标集中在：
- 22：SSH
- 53：DNS
- 80/443：Web服务
- 3306：MySQL
- 6379：Redis
- 8080/8443：常见应用代理或管理端口
对Linux服务器，我通常不急着做版本探测。先根据端口开放情况判断角色：开了53的可能是DNS服务器，开了3306/6379的可能是数据库或缓存服务，开了8080/8443的可能是运维管理面板。这一步其实不需要Nmap做太多事，你可以直接用端口组合猜测业务属性，再针对具体目标跑服务识别。
如果需要 -sV 做版本确认，务必把范围收窄到单台主机和单个端口，用 -sV --version-light 减少交互。生产环境里对大量Linux主机同时做版本探测，很容易触发自动化运维平台的登录告警，到时候解释成本比扫描本身还高。
4.3 路由交换与安全设备的探测方式
网络设备的端口画像和服务器截然不同。交换机、路由器、防火墙这类设备，常见端口包括：
- 22/23：CLI管理界面（SSH/Telnet）
- 80/443/8443：Web管理界面
- 161/UDP：SNMP
- 830：NETCONF
- 某些厂商私有管理端口
对待网络设备，我的原则是“点到为止”。只针对管理端口做精确探测就够了，不要对这些设备跑全端口扫描。特别是UDP扫描，很多新手拿 -sU 去扫161端口，结果耗时极长、流量极大，还可能给网络设备带来额外负载。真想判断SNMP是否开放，可以在单台设备上用低速率UDP探测做验证。
另一类需要警惕的是负载均衡和IPS设备的虚拟IP。这些IP往往承载业务流量，扫描它们会产生比扫描普通服务器高得多的告警量。如果拿到IP清单后不确定某些IP是不是VIP，先找客户确认，不要在关键业务IP上贸然开扫。
5. 内网实操中的几个坑——误报、漏报与调度细节
5.1 网关、防火墙和ACL会造成假阴性
现实内网里，主机“看似不在线”不代表真的不在线。很多防火墙会直接丢弃来自非信任IP的SYN包，不产生任何回应。这时候Nmap会把目标标成filtered，但实际主机可能活得好好的。
遇到这种情况，我建议打开 --reason 参数，查看每个端口被标记为某种状态的详细原因。比如看到“no-response”可以和“administratively-prohibited”区分开，前者可能是主机真正离线，后者多半是防火墙策略在拦截。结合 -sS 和 -sA 的响应差异，能帮你更准确地判断目标是否被防火墙“保护”了。
5.2 低速率不等于高准确率
另一个极端是有人以为把速率压到极低就万事大吉，比如直接 -T0 或 --scan-delay 10s。Nmap的T0模板会极大延长超时和重试时间，一场C段扫描跑下来可能要十几个小时，从项目管理和业务影响角度看都不现实。
我的做法是分场景处理：对整网的主机发现用中等速率，比如 -T2 配合 --max-rate 控制；对单台重点主机，可以适当降低速率做精细扫描；全端口扫描只在特定单机上做，绝不在一开始就满段、全端口。
还要用好 --host-timeout 和 --max-retries。一台不回应的主机卡住整个扫描队列是最常见的坑，设置超时能有效防止排队阻塞。
5.3 根据目标响应速度动态调整
内网的网络质量波动比想象中大。有些网段经过多级交换、加解密设备后延迟明显增加，如果还用同一个速率参数跑所有网段，效果会很差。
判断方法很简单：Nmap扫描过程中可以用 --stats-every 30s 查看实时统计，观察当前发包速率和响应比例。如果目标丢包率偏高，先降低 --min-rate，否则重试机制会触发大量重复包，反而放大流量。反过来，如果目标网络延迟很低、响应稳定，可以适当调高 --max-rate 提高效率。动态调整不是偷懒，而是为了保证每一点流量都花在有效探测上。
5.4 扫描任务本机管理与审计留痕
这一点我必须认真说。隐蔽扫描是降低对目标网络的干扰，不是掩盖自己的行为。作为评估者，你做的每一步都要能追溯、能解释。实际操作中我建议：
- 扫描前把测试范围、IP段、时间窗口、授权书放进固定目录，作为项目底档
- 每次扫描都用
-oA 输出文件名保存所有格式的结果文件，方便复盘 - 不在目标机器上安装任何常驻程序，不要长时间保持对端连接
- 退出内网后对结果进行分类处理，涉及敏感信息的资产数据妥善保管
见过不少新人，扫描结果乱放，后续客户要求提供审计证据时抓瞎。一个成熟的工程师，应该在扫描开始前就想好怎么向项目负责人交代每一步。
6. 隐蔽扫描的真正边界是授权——几条红线请记牢
最后聊点比技术更重要的东西。Nmap的隐蔽扫描参数本身是公开的标准功能，在安全评估、网络管理、合规审计里都有正规用途。但它和所有安全工具一样，使用前提永远是一条：必须在授权范围内，对你被允许测试的网络资产使用。
几条底线建议，希望初学的你认真记下：
- 不要在不确定归属的网络里练手，哪怕是看起来“空着”的IP段
- 在客户现场测试时，先确认哪些是测试范围内的资产，哪些绝对不能碰
- 不要在业务高峰期对生产网段做大规模端口扫描，除非客户明确同意
- 扫描到不明确归属的IP，立刻停下来，记录现场情况并报告给项目负责人
- 保留好授权文件、扫描IP清单、时间点记录，这些是保护你的第一道防线
- 学会用靶场环境练习，比如自己搭的虚拟内网，不要拿公司或学校网络当试验场
如果你只是自己在家搭了个实验环境练习，前面讲到的参数组合可以大胆试——在自己的网段里把 -sn、-sS、-T2、--top-ports 这些组合跑一遍，对比默认参数下的结果差异和告警表现，会建立非常直观的感受。
兜了这么一大圈，其实我想说的核心经验只有一句：内网隐蔽扫描的价值不在“看起来高深”，而在于它让你以更专业、更克制的方式完成任务，同时保护好自己。我的习惯是先用温和的主机发现建立存活清单，再用 -sS -Pn -T2 --top-ports 200 跑端口基线，只对个别目标做版本识别，全程用 -oA 保存结果、用 -n 关掉DNS解析。这套组合说不上多惊艳，但应付绝大多数内网评估的开局已经足够了。
对刚进网络安全这行的朋友，我更希望你能把注意力放在这个方向上：扎实、透明、可追溯地完成一次内网资产盘点，比一味追求“让别人看不见”更有价值。技术最终是用来解决问题的，不是用来炫技的。